這個漏洞稱為“安卓安裝器劫持”(Android Installer Hijacking)，它能夠被利用獲得設備的完全訪問權，包括獲取用戶名和密碼等敏感數據。研究人員已經寫了兩個利用程序，其中包括如何安裝APK(手機應用程序，即APP的安裝包)。

　　發現這個漏洞的安全公司Palo Alto的研究人員表示，該漏洞只影響第三方應用商店安裝的APP。

　　從第三方應用商店中下載的應用會把APK安裝文件放在未受保護的本地存儲區，如SD卡。然后，一個名為“包安裝器”(PackageInstaller)的系統應用來完成安裝。而該漏洞允許APK文件在安裝的時候被更改或替代，而且沒有通知。

　　攻擊過程：

　　用戶下載似乎是合法的APP，安裝時APP要求用戶許可設備的一些使用權限。在此過程中，APK文件在系統后臺被更改或替換，但“包安裝器”卻無法察覺。也就是說在點擊“安裝”之后，包安裝器實際上安裝的是另一個APP。而且該攻擊過程并不需要root權限。

　　此漏洞早在2014年1月就被發現，當時接近90%的Android設備受到影響?，F在雖然已經下降到49.5%，但仍然是一個龐大的數字，意味成數百萬甚至上千萬用戶的個人信息處于危險之中。研究人員寫的利用程序成功攻陷了安卓2.3/4.0.4到4.0.4/4.1.x/4.2.x等版本，以及一些4.3版本的設備，4.4版本則不受影響。

　　谷歌已經發布了相關補丁，但一些手機廠商還沒有更新補丁。建議用戶要格外注意從第三方應用商店下載的APP。